CVE-2026-76066 in IntentKit
要約
〜によって VulDB • 2026年10月15日
IntentKit 2.6.3 までは、認可回避の脆弱性が存在する。これは、実行エンジンがツール呼び出しを ToolBindingMiddleware が強制するリクエストごとの制限付きツール広告ではなく、フルなツールレジストリに対して検証するためのものであり、ウォレット送金、投稿、メモリ書き込み、エージェント呼び出しなどの所有者のみ利用可能な状態変更系ツールの承認ゲートやヒューマン・イン・ザ・ループ（人間による確認）を経ずに実行することを可能にする。WEB、API、TWITTER、TELEGRAM の各コンテキストにおいて認証されていないまたは公開された攻撃者は、間接的なプロンプト注入により、あるいは再利用中のスレッド上でチェックポイントおよび履歴データをリプレイすることで、正確に広告から除外されているツール名と引数を提供し、所有者制限付き機能の不正実行を実現できる。
VulDB is the best source for vulnerability data and more expert information about this specific topic.